ChatGPT franchirait le seuil des 45 millions d'utilisateurs européens, Roblox aussi. Les deux plateformes rejoindraient un club très fermé où l'on paie une redevance à Bruxelles pour se faire auditer.
Le règlement européen sur les services numériques trie les plateformes en deux catégories depuis 2023. D'un côté la masse des services en ligne, soumis à des obligations mesurées. De l'autre une vingtaine de géants dépassant 45 millions d'utilisateurs mensuels dans l'Union, soit un Européen sur dix. Ceux-là doivent évaluer leurs risques systémiques, se faire auditer chaque année par un tiers et ouvrir leurs données aux chercheurs. Bloomberg, qui cite des sources anonymes, rapporte que la Commission s'apprête à y faire entrer ChatGPT et Roblox, avec une annonce attendue dès le mois prochain.
Deux dossiers qui n'ont pas grand-chose en commun
Les chiffres qui déclenchent la manœuvre viennent des entreprises elles-mêmes, puisque le règlement les oblige à publier leur audience européenne. OpenAI a déclaré une moyenne de 120,4 millions d'utilisateurs mensuels dans l'Union pour la fonctionnalité de recherche de ChatGPT. Ce périmètre pourrait d'ailleurs le faire basculer autant du côté des moteurs de recherche que des plateformes. Roblox, de son côté, a communiqué environ 48 millions d'utilisateurs européens mensuels sur les six mois clos le 13 février. Dans les deux cas, on dépasse largement le seuil, et une fois qu'il est franchi, la Commission n'a pas vraiment de marge d'appréciation.
Ce qui attend les deux sociétés ressemble à une comptabilité analytique du risque. Rapports de transparence réguliers, plans d'atténuation des risques systémiques, audit annuel indépendant, accès des chercheurs aux données publiquement disponibles, interdiction de la publicité ciblée sur les profils de mineurs. Le tout assorti d'une redevance de surveillance calculée sur le nombre d'utilisateurs, plafonnée à 0,05 % du bénéfice mondial de l'exercice précédent. En cas de manquement caractérisé, l'amende peut grimper jusqu'à 6 % du chiffre d'affaires mondial annuel, ce qui explique que personne ne réclame ce statut avec enthousiasme. Un porte-parole de la Commission a refusé de commenter, et ni OpenAI ni Roblox n'ont donné suite aux sollicitations.
Des deux intéressés, c'est tout de même ChatGPT qui créerait un précédent. Le régime n'avait jamais accueilli d'agent conversationnel fondé sur l'intelligence artificielle générative, et l'exercice promet d'être instructif. Évaluer les « risques systémiques » d'un réseau social relève d'une pratique désormais rodée ; les évaluer sur un modèle de langage, beaucoup moins. Contester la désignation ne mène généralement nulle part, du reste. Amazon avait tenté sa chance en plaidant que sa place de marché ne relevait pas du dispositif, et le Tribunal de l'Union européenne a rejeté son recours en novembre dernier.
Roblox, le dossier que Bruxelles attendait
La plateforme de jeu occupe une position particulière dans le paysage réglementaire européen, et pas seulement à cause de son audience. Sa population est massivement composée d'enfants et d'adolescents, elle repose sur des contenus créés par les utilisateurs eux-mêmes, et elle organise des interactions permanentes entre inconnus. La protection des mineurs constitue précisément l'axe sur lequel la Commission a le plus poussé ces deux dernières années. Elle a ouvert des enquêtes contre TikTok sur la conception addictive de son service, et contre plusieurs autres plateformes sur la vérification de l'âge.
L'entreprise a d'ailleurs commencé à bouger avant même que la désignation ne tombe. Elle a récemment resserré les contrôles sur les personnes avec lesquelles les enfants peuvent échanger et sur les expériences auxquelles ils accèdent, ce qui ressemble à une opération de mise en conformité anticipée (l'expression consacrée serait « démarche volontaire », mais le calendrier autorise le doute). Le second front sera publicitaire : Roblox développe activement cette activité, et le règlement encadre étroitement le marketing dirigé vers les enfants, jusqu'à interdire la publicité ciblée fondée sur leurs profils.
Le précédent le plus parlant reste celui des plateformes pour adultes. Quand Bruxelles avait classé Pornhub, XVideos et Stripchat dans cette catégorie fin 2023, la protection des mineurs constituait déjà le motif central. La désignation avait alors fait remonter le dossier du niveau national vers l'échelon européen. Même mécanique pour l'application chinoise Temu, désignée en 2024 après des alertes sur la sécurité des produits vendus. Le règlement a montré qu'il savait mordre. X a écopé de 120 millions d'euros d'amende en décembre pour conception trompeuse et défaut de transparence, une décision dont la société a fait appel. Le service de commerce en ligne d'Alibaba s'est vu infliger 550 millions ce mois-ci.
En France, l'Arcom surveille déjà
Depuis la loi visant à sécuriser et réguler l'espace numérique de mai 2024, l'Arcom joue le rôle de coordinateur pour les services numériques en France. La CNIL et la DGCCRF l'accompagnent sur leurs domaines respectifs. C'est elle qui reçoit les plaintes, désigne les signaleurs de confiance et coordonne l'application du texte sur le territoire. Mais les très grandes plateformes échappent à cette supervision nationale : la Commission européenne en garde la compétence directe.
Concrètement, un parent français inquiet de ce que son enfant croise sur Roblox verrait donc son dossier remonter à Bruxelles plutôt que d'être traité à Paris. Le changement paraît technique, il ne l'est pas tout à fait. La Commission dispose de pouvoirs d'enquête et de sanction sans commune mesure avec ceux d'un régulateur national, mais elle traite les signalements de vingt-sept pays à la fois. L'Arcom conserve en revanche ses leviers proprement français, comme elle vient de le rappeler en ciblant trente et un sites pornographiques supplémentaires cette semaine. Le régulateur s'appuie pour cela à la fois sur la loi SREN et sur le règlement européen.
Une réserve s'impose pour finir : rien n'est encore officiel. L'information repose sur des sources anonymes, la Commission n'a rien confirmé, et le calendrier annoncé reste indicatif. Le fonctionnement détaillé du dispositif, ses obligations et son barème de sanctions sont en revanche parfaitement documentés depuis son entrée en application.
